CVE-2026-54617 in GravitLauncher
Zusammenfassung
von VulDB • 18.09.2026
GravitLauncher ist ein Open-Source-Minecraft-Launcher, der auf sashok724s v3 basiert. Vor Version 5.7.12 kann ein nicht authentifizierter Remote-Akteur eine rohe HTTP-Anfrage-Zieladresse ohne führenden Slash an den standardmäßigen LaunchServer-Dateiserver am Port 9274 senden. FileServerHandler.channelRead0 in components/launchserver/src/main/java/pro/gravit/launchserver/socket/handlers/fileserver/FileServerHandler.java entfernt das erste Zeichen der Anfrage-Zieladresse und löst den verbleibenden Pfad gegen updatesDir auf, ohne eine erneute Normalisierung oder Verifizierung der Eindringtiefe (Containment) durchzuführen. Dies führt dazu, dass Komponenten für übergeordnete Verzeichnisse in einer Anfrage ohne führenden Slash vorhanden sind und das Lesen jeder Datei ermöglicht, die dem LaunchServer-Prozess zugänglich ist, einschließlich .keys/ecdsa_id, .keys/legacySalt und LaunchServer.json. Die Offenlegung dieser Dateien kann Signierschlüssel, Refresh-Token-Material und Datenbankzugangsdaten offenlegen, was zur Erstellung gefälschter administrativer Zugriffstoken und einer vollständigen Umgehung der Authentifizierung führt. Ein normalisierender L7-Proxy kann die primäre Anfrageform blockieren, jedoch bleiben direkte Expositionen sowie L4-/TCP-Proxys betroffen, und netty.fileServerEnabled ist standardmäßig aktiviert. Dieses Problem wurde in Version 5.7.12 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.